Nastavení příchozí komunikace protokolu Common Secure Interoperability verze 2

Tato stránka slouží k zadání funkcí, které server podporuje pro klienta přistupujícího k jeho prostředkům.

Chcete-li zobrazit tuto stránku administrativní konzoly, postupujte podle následujícího postupu:

Klepněte na volbu Zabezpečení > Globální zabezpečení.
V části Ověřování klepněte na volbu Zabezpečení RMI/IIOP > Příchozí komunikace CSIv2.

Nastavení příchozí komunikace obecné zabezpečené interoperability (CSI) slouží ke konfigurování typu ověřovacích informací, které jsou obsaženy v příchozím požadavku nebo transportu.

Funkce ověřování zahrnují tři vrstvy ověřování, které lze používat souběžně:

Vrstva atributů protokolu CSIv2. Vrstva atributů může obsahovat token identity, tj. identitu, která již byla ověřena některým z předchozích serverů na trase zpracování. Nejvyšší prioritu má vrstva identity, následuje vrstva zpráv a transportní vrstva. Pokud klient odešle všechny tři vrstvy, bude použita pouze vrstva identity. Certifikát SSL klienta lze použít jako identitu pouze v případě, že se jedná o jedinou informaci předloženou v rámci požadavku. Klient získá hodnotu IOR (Interoperable Object Reference) z oboru názvů a načtením hodnot z komponenty se značkami zjistí, jaké jsou požadavky serveru na zabezpečení.
Transportní vrstva protokolu CSIv2. Transportní vrstva, která tvoří nejnižší vrstvu, může obsahovat certifikát SSL (Secure Sockets Layer) klienta ve funkci identity.
Vrstva zpráv protokolu CSIv2. Vrstva zpráv může obsahovat jméno uživatele a heslo nebo ověřený token s údajem o době platnosti.

Šíření atributů zabezpečení

Určuje podporu šíření atributu zabezpečení při zpracování žádostí o přihlášení. Vyberete-li tuto volbu, aplikační server zachová doplňující informace o požadavku na přihlášení, například použitou sílu ověřování, spolu s identitou a umístěním původce požadavku.

Pokud tuto volbu nevyberete, nebude aplikační server přijímat žádné další informace o přihlášení určené k předání do serverů po směru zpracování.

Informace	Hodnota
Výchozí hodnota:	Povoleno

Důležité: Při použití služeb replikace se ujistěte, že je povolena volba Šířit atributy zabezpečení.

Použít deklaraci identity

Určuje deklaraci identit jako metodu předávání ověřených identit mezi servery při volání objektů Enterprise JavaBeans (EJB) ve směru zpracování.

Tento server již deklarovanou identitu neověřuje, protože důvěřuje předchozímu serveru na trase zpracování. Deklarace identit má přednost před všemi ostatními typy ověřování.

Deklarace identity probíhá ve vrstvě atributů a lze ji použít pouze pro servery. Činitel určený na straně serveru vychází z pravidel priority. Pokud je použita deklarace identit, je identita vždy odvozována z vrstvy atributů. Pokud je použito základní ověřování bez deklarace identity, je identita vždy odvozována z vrstvy zpráv. Pokud je použito ověřování pomocí certifikátu klienta bez základního ověřování a bez deklarace identity, je identita odvozována z transportní vrstvy.

Deklarovaná identita tvoří vyvolávací pověření určené režimem RunAs objektu enterprise bean. Pokud je režim RunAs nastaven na hodnotu Klient, je použita identita klienta. Pokud je režim RunAs nastaven na hodnotu Systém, je použita identita serveru. Pokud je režim RunAs nastaven na hodnotu Určeno, je použita určená identita. Přijímající server obdrží identitu v rámci tokenu identity a současně obdrží také identitu odesílajícího serveru v tokenu ověřování klienta. Přijímající server ověří identitu odesílajícího serveru jako důvěryhodnou identitu prostřednictvím vstupního pole ID důvěryhodného serveru. Zadejte seznam názvů činitelů oddělených svislými čarami (|), například IDserveru1|IDserveru2|IDserveru3.

Všechny typy tokenů identity jsou mapovány na pole jména uživatele v aktivním registru uživatelů. Token identity ITTPrincipal je mapován na pole jmen uživatelů v relaci 1:1. U tokenu identity ITTDistinguishedName je na pole jména uživatele mapována hodnota za prvním znakem = (rovnítko). U tokenu identity ITTCertChain je na pole jména uživatele mapována hodnota za prvním znakem = (rovnítko) v rozlišujícím názvu.

Při ověřování pomocí registru uživatelů LDAP je mapování identit typu ITTCertChain a ITTDistinguishedName do registru určováno pomocí filtrů protokolu LDAP. Pokud je použit token typu ITTPrincipal, je činitel mapován na pole UID v registru LDAP.

Informace	Hodnota
Výchozí hodnota:	Zakázáno

Následující volba je povolena v případě, že registr aktivních uživatelů je registrem uživatelů lokálního operačního systému, verze zabezpečení systému z/OS se nachází na příslušné úrovni podporující distribuované mapování identity a neexistují žádné uzly nižší verze produktu WebSphere Application Server než verze 8.0:

Mapovat certifikát a rozlišující název pomocí distribuovaného mapování identity produktu SAF: Výběr této volby mapuje deklarovaný certifikát a rozlišující název na identitu uživatele SAF pomocí filtru RACMAP.
Výchozí hodnotou je nezaškrtnuté políčko. Pokud je toto políčko zaškrtnuto, bude pro přizpůsobenou vlastnost zabezpečení com.ibm.websphere.security.certdn.useRACMAPMappingToSAF zadána hodnota true.

Poznámka: Tato volba je viditelná pouze tehdy, pokud je pro aktivní registr uživatelů zadána volba Lokální operační systém, buňka není tvořena různými verzemi (neexistují v ní žádné uzly nižší verze než WebSphere Application Server verze 8.0) a produkt zabezpečení systému z/OS podporuje mapování identit autorizace SAF (pro produkt RACF, tzn. z/OS verze 1.11 nebo novější).

Poznámka: Pokud má rozlišující název mezi atributy prázdné místo, měli byste pro správnou analýzu mezer aplikovat RACF APAR OA34258 (nebo PTF UA59873) a SAF APAR OA34259 (nebo PTF UA59871).

Důvěryhodné identity

Tato možnost určuje důvěryhodnou identitu, která je odeslána z odesílajícího serveru na přijímající server.

Určuje seznam uživatelských jmen administrátorů důvěryhodného serveru oddělených svislými čarami (|), která jsou považována za důvěryhodná pro účely deklarace identit na tomto serveru. Příklad: IDserveru1|IDserveru2|IDserveru3. V zájmu zpětné kompatibility podporuje aplikační server oddělování položek seznamu znakem , (čárka). Aplikační server se pokusí použít znak čárky, pokud se mu nepodaří najít platné ID důvěryhodného serveru pomocí znaku svislé čáry (|).

Tento seznam slouží k rozhodování o tom, zda je server důvěryhodný. I v případě, že je server uveden v seznamu, musí odesílající server projít ověřením u přijímajícího serveru, aby mohl být přijat token identity odesílajícího serveru.

Informace	Hodnota
Datový typ:	Řetězec

Ověřování pomocí certifikátu klienta

Určuje, že ověření proběhne při počátečním navázání spojení mezi klientem a serverem v průběhu zpracování požadavku na metodu.

V transportní vrstvě probíhá ověřování pomocí certifikátů SSL (Secure Sockets Layer) klienta. Ve vrstvě zpráv je použito základní ověřování (pomocí jména uživatele a hesla). Ověřování klientských certifikátů obvykle poskytuje vyšší výkon než ověřování vrstvy zpráv, vyžaduje však nastavení některých dalších parametrů. K těmto doplňujícím krokům patří ověření, že server důvěřuje certifikátům podepisujícího subjektu všech klientů, k nimž je připojen. Pokud klient použije k vytvoření svého osobního certifikátu certifikační autoritu (CA), budete potřebovat pouze kořenový certifikát CA v sekci podepisujícího subjektu serveru v souboru důvěryhodnosti SSL.

[AIX Solaris HP-UX Linux Windows] [IBM i] Pokud je certifikát ověřen pomocí registru uživatelů LDAP (Lightweight Directory Access Protocol), je rozlišující název (DN) mapován pomocí filtru zadaného při konfigurování protokolu LDAP. Pokud je certifikát ověřen pomocí lokálního registru uživatelů operačního systému, je první atribut rozlišujícího názvu (DN) v certifikátu, jímž je obvykle společný název, namapován na jméno uživatele v registru.

[z/OS] Pokud je certifikát ověřen pomocí lokálního registru uživatelů operačního systému, je certifikát namapován na jméno uživatele v registru.

Identita tvořená certifikáty klientů je použita jen tehdy, není-li serveru předložena žádná jiná vrstva ověřování.

Nikdy: Určuje, že klienti se u tohoto serveru nebudou pokoušet o ověření pomocí certifikátů SSL (Secure Sockets Layer) klienta.
Podporováno: Určuje, že klienti připojující se k tomuto serveru mohou pro ověření totožnosti předložit certifikáty klientů SSL. Server však může vyvolat metodu i bez použití tohoto typu ověření. Lze použít například i anonymní přístup nebo základní ověřování.
Poznámka: Při nastavení volby "Podporováno" pro příchozí ověřování CSIv2 na daném serveru je pro ověřování používán certifikát klienta.
Vyžadováno: Určuje, že klienti, kteří se připojují k tomuto serveru, budou muset před vyvoláním metody použít ověřování pomocí certifikátů SSL klienta.

Mapovat certifikát pomocí distribuovaného mapování identity produktu SAF: Výběr této volby mapuje certifikát přijatý v transportní vrstvě CSIv2 na identitu uživatele SAF pomocí filtru RACMAP.
Výchozí hodnotou je nezaškrtnuté políčko. Pokud je toto políčko zaškrtnuto, bude pro přizpůsobenou vlastnost zabezpečení com.ibm.websphere.security.certificate.useRACMAPMappingToSAF zadána hodnota true.

Poznámka: Tato volba je viditelná pouze tehdy, pokud je pro aktivní registr uživatelů zadána volba Lokální operační systém, buňka není tvořena různými verzemi (neexistují v ní žádné uzly nižší verze než WebSphere Application Server verze 8.0) a produkt zabezpečení systému z/OS podporuje mapování identit autorizace SAF (pro produkt RACF, tzn. z/OS verze 1.11 nebo novější).

Transport

Určuje, zda se procesy klienta připojují k serveru s použitím jednoho z připojených transportů.

Jako příchozí transport podporovaný serverem můžete zvolit službu SSL (Secure Sockets Layer), protokol TCP/IP, nebo obojí. Vyberete-li volbu TCP/IP, server bude podporovat pouze protokol TCP/IP a nebude moci přijímat připojení SSL. Vyberete-li volbu Podporováno SSL, bude tento server moci podporovat připojení protokolu TCP/IP i připojení SSL. Vyberete-li volbu Vyžadováno SSL, bude muset každý server komunikující s tímto serverem používat zabezpečení SSL.

Poznámka: Tato volba není k dispozici na platformě z/OS, s výjimkou případů, kdy se v buňce nacházejí uzly verze 6.1 i uzly dřívějších verzí.

TCP/IP: Vyberete-li volbu TCP/IP, server otevře pouze port modulu listener TCP/IP a pro žádné z příchozích požadavků nebude použito zabezpečení SSL.
Vyžadováno SSL: Vyberete-li volbu Vyžadováno SSL, server otevře pouze port modulu listener SSL a při příjmu všech příchozích požadavků bude použito zabezpečení SSL.
Podporováno SSL: Vyberete-li volbu Podporováno SSL, server otevře port modulu listener pro protokol TCP/IP i SSL a při příjmu většiny příchozích požadavků bude použito zabezpečení SSL.

Zadejte pevné číslo portu pro následující porty. Nulové číslo portu znamená, že bude provedeno dynamické přiřazení při běhu.
[AIX Solaris HP-UX Linux Windows]

CSIV2_SSL_MUTUALAUTH_LISTENER_ADDRESS
CSIV2_SSL_SERVERAUTH_LISTENER_ADDRESS
SAS_SSL_SERVERAUTH_LISTENER_ADDRESS

ORB_SSL_LISTENER_ADDRESS

Informace	Hodnota
Výchozí hodnota:	Vyžadováno SSL
Rozsah:	TCP/IP, Vyžadováno SSL, Podporováno SSL

Nastavení SSL

Určuje seznam předdefinovaných nastavení SSL pro příchozí připojení.

Poznámka: Tato volba není k dispozici na platformě z/OS, s výjimkou případů, kdy se v buňce nacházejí uzly verze 6.1 i uzly dřívějších verzí.

Informace	Hodnota
Datový typ:	Řetězec
Výchozí hodnota:	DefaultSSLSettings
Výchozí hodnota:	DefaultIIOPSSL
Rozsah:	Všechna nastavení SSL konfigurovaná v repertoáru konfigurace SSL

Ověřování vrstvy zpráv

Pro ověřování vrstvy zpráv jsou k dispozici následující volby:

Nikdy: Určuje, že tento server nemůže přijímat ověření pomocí žádného z dále vybraných mechanismů.
Podporováno: Určuje, že klient komunikující s tímto serverem může provádět ověření pomocí libovolného z následujících vybraných mechanismů. Metodu však lze vyvolat i bez tohoto typu ověření. Místo něj může být použit například anonymní certifikát nebo certifikát klienta.
Vyžadováno: Určuje, že klienti komunikující s tímto serverem musí s každým požadavkem na metodu zadat ověřovací informace za použití dále vybraných mechanismů.

Povolení ověřování klienta na servery pomocí:

Určuje ověřování klienta na serveru pomocí ověřování Kerberos, LTPA nebo základního ověřování.

Pro ověřování klienta na serveru jsou k dispozici následující volby:

Kerberos (KRB5): Tuto volbu vyberte, chcete-li použít mechanizmus ověřování Kerberos. Nejprve musíte konfigurovat mechanizmus ověřování Kerberos. Podrobnější informace naleznete v části Konfigurování ověřování Kerberos jako mechanizmu ověřování s použitím administrativní konzoly.
LTPA: Tuto volbu vyberte, chcete-li určit Token ověřování LTPA.
Základní ověřování: Základní ověřování je GSSUP (Generic Security Services Username Password). Tento typ ověřování obvykle zahrnuje odeslání jména uživatele a hesla z klienta na server k ověření.

Klepnete-li na volbu Základní ověřování a je-li v konfiguraci nastaven ověřovací protokol LTPA, budou jako pověřovací údaje přijata jména uživatelů, hesla a tokeny LTPA.

Klepnete-li na volbu Základní ověřování a KRB5 a je-li v konfiguraci nastaven ověřovací protokol KRB5, budou jako pověřovací údaje přijata jména uživatelů, hesla a tokeny LTPA.

Pokud nevyberete volbu Základní ověřování, jméno uživatele a heslo nebudou serverem přijaty.

Konfigurace přihlašování

Určuje typ konfigurace přihlašování k systému, který má být použit pro ověřování příchozích požadavků.

Chcete-li přidat vlastní moduly přihlašování, můžete klepnout na volby Zabezpečení > Globální zabezpečení. V části Ověřování klepněte na volbu Služba JAAS (Java Authentication and Authorization Service) > Přihlášení k systému.

Stavové relace

Tuto volbu vyberte, chcete-li povolit stavové relace, využívané především ke zvýšení výkonu.

Při prvním kontaktu mezi klientem a serverem musí proběhnout úplné ověření. Všechny další kontakty v rámci platných relací však používají znovu tytéž informace zabezpečení. Klient předá serveru ID kontextu a na základě tohoto ID je vyhledána relace. Oborem ID kontextu je dané připojení, čímž je zaručena jedinečnost. Vždy, když není nalezena platná relace zabezpečení a je povoleno opakované ověřování (výchozí stav), zachytávač zabezpečení na straně klienta zneplatní relaci na straně klienta a odešle požadavek znovu bez rozlišení klienta. Tato situace může nastat v případě, že daná relace na straně serveru neexistuje; například po selhání serveru a obnovení jeho činnosti. Pokud je tato volba zakázána, musí při každém volání metody proběhnout nové ověření.

Informace	Hodnota
Výchozí hodnota:	Povoleno

Důvěryhodné sféry ověření - příchozí

Tento odkaz vyberte, chcete-li vytvořit příchozí vztah důvěryhodnosti pro sféry. Nastavení sféry příchozího ověřování není specifické pro rozhraní CSIv2. Můžete také určit, které sféry mají být považovány za důvěryhodné v příchozím směru pro více domén zabezpečení.

Pojem příchozí ověřování znamená konfiguraci, která určuje přijímaný typ ověřování pro příchozí požadavky. Tento typ ověřování je zveřejněn v odkazu IOR (interoperable object reference), který klient načte ze serveru názvů.

Název souboru: usec_inbound.html